Badacze z Check Point Exposure Management odkryli słabości szyfrowania w ransomware HYFLOCK, które pozwoliły im odzyskać zaszyfrowane dane bez klucza atakujących. To odkrycie jest użytecznym przypomnieniem, że ransomware to oprogramowanie, a oprogramowanie może mieć wady. Dla wszystkich obawiających się wymuszenia, odszyfrowanie ransomware HYFLOCK bez klucza jest godnym uwagi wynikiem, choć wiąże się z istotnymi zastrzeżeniami.

Raport źródłowy jest zwięzły, więc ten artykuł ogranicza się do tego, co zostało potwierdzone: badacze zidentyfikowali słabości kryptograficzne w HYFLOCK, a te słabości umożliwiły odzyskanie danych bez płacenia lub polegania na przestępcach.

Jak badacze złamali szyfrowanie HYFLOCK

Ransomware zazwyczaj działa poprzez szyfrowanie plików ofiary, a następnie żądanie zapłaty za klucz potrzebny do ich odblokowania. Siła tego schematu zależy całkowicie od tego, jak dobrze zaimplementowano szyfrowanie. Nawet gdy dany szczep wykorzystuje dobrze znane algorytmy, błędy w sposobie generowania, przechowywania lub stosowania kluczy mogą pozostawić otwarte drzwi.

Według raportu badacze z Check Point Exposure Management znaleźli tego rodzaju słabości w HYFLOCK. Te wady pozwoliły im odzyskać dane bez klucza, który normalnie posiadaliby atakujący. Raport nie podaje dalszych szczegółów technicznych w dostępnych nam materiałach, więc nie będziemy spekulować na temat konkretnego mechanizmu, których wersji dotyczy problem, ani czy istnieje publiczne narzędzie do odszyfrowania.

Co to oznacza dla ofiar ransomware

Podstawowa lekcja jest prosta: płacenie nie jest jedyną drogą i rzadko powinno być pierwszą. Jeśli dany szczep ma możliwą do wykorzystania wadę, ofiary mogą być w stanie przywrócić pliki bez ponoszenia kosztów. Badacze i firmy zajmujące się bezpieczeństwem czasami publikują takie odkrycia, aby inni mogli z nich skorzystać.

Jeśli kiedykolwiek padniesz ofiarą ransomware, rozważ poniższe kroki, zanim podejmiesz kontakt z atakującymi:

  • Odizoluj dotknięte urządzenie od sieci, aby ograniczyć dalsze rozprzestrzenianie.
  • Zachowaj zaszyfrowane pliki i wszelkie notatki okupu. Pomagają one ekspertom zidentyfikować szczep.
  • Szukaj legalnych narzędzi do odzyskiwania danych od renomowanych dostawców bezpieczeństwa i badaczy, oraz potwierdź, że źródło jest godne zaufania, zanim cokolwiek pobierzesz.
  • Skontaktuj się z wykwalifikowanym specjalistą ds. reagowania na incydenty, jeśli dane są krytyczne dla działalności.

Zachowaj ostrożność wobec pobierania „deszyfratorów” z niezweryfikowanych źródeł. Fałszywe narzędzia do odzyskiwania danych to dobrze znany sposób na spowodowanie drugiej infekcji, więc zweryfikuj, zanim cokolwiek uruchomisz.

Dlaczego wada w jednym szczepie nie jest siatką bezpieczeństwa

Błędem byłoby odczytywać te badania jako dowód, że ransomware łatwo pokonać. Słabość w HYFLOCK nie oznacza, że inne szczepy są łamliwe. Większość operatorów ransomware ma silne motywacje do naprawiania błędów, gdy zostaną ujawnione, a opublikowana wada może doprowadzić do załatanej wersji, która nie ma już tej samej słabości.

Odzyskanie zależy również od czasu i okoliczności. Danych, które zostały już skradzione, nie można „odkraść”, nawet jeśli zaszyfrowane kopie można przywrócić. Wiele incydentów ransomware obejmuje zarówno szyfrowanie, jak i kradzież danych, więc udane odszyfrowanie nie usuwa konsekwencji dla prywatności. Naruszenie HandyTrac w nieruchomości zarządzanej przez Greystar jest rzeczywistym przykładem tego, jak incydent ransomware może ujawnić poufne informacje daleko poza plikami pierwotnej ofiary.

Praktyczne kroki do ochrony plików i urządzeń

Nikt nie powinien liczyć na to, że atakujący popełnią błędy kryptograficzne. Silne nawyki mają znacznie większe znaczenie:

  1. Utrzymuj kopie zapasowe offline. Trzymaj co najmniej jedną kopię zapasową odłączoną od komputera i sieci, aby ransomware nie mógł jej zaszyfrować. Okresowo testuj przywracanie z niej.
  2. Stosuj zasadę 3-2-1. Przechowuj trzy kopie ważnych danych, na dwóch rodzajach nośników, z jedną kopią poza siedzibą lub offline.
  3. Aktualizuj oprogramowanie na bieżąco. Systemy operacyjne, przeglądarki i aplikacje powinny otrzymywać poprawki bezpieczeństwa, gdy tylko są dostępne.
  4. Unikaj podejrzanych pobrań i załączników. Pirackie oprogramowanie, nieoczekiwane załączniki e-mail i nieznane linki to typowe drogi dostarczania.
  5. Używaj silnych, unikalnych haseł i uwierzytelniania wieloskładnikowego, aby utrudnić atakującym zdobycie przyczółka.
  6. Ogranicz uprawnienia kont. Do codziennej pracy używaj konta standardowego, a nie konta administratora.

VPN może chronić Twój ruch w niezaufanych sieciach, ale sam nie powstrzyma ransomware. Kopie zapasowe, aktualizacje i ostrożne zachowanie to zabezpieczenia, które mają tu znaczenie.

Co to oznacza dla Ciebie

Dla większości czytelników wnioskiem jest przygotowanie i cierpliwość. Jeśli ransomware kiedykolwiek zablokuje Twoje pliki, nie panikuj i nie płać od razu. Sprawdź, czy istnieje legalna opcja odzyskania danych, ponieważ badania takie jak te prowadzone przez Check Point pokazują, że niektóre szczepy można pokonać. Jednocześnie traktuj każdy incydent ransomware jako możliwy przypadek kradzieży danych: zmieniaj hasła, obserwuj oznaki nadużyć i postępuj zgodnie ze wskazówkami organizacji, która przechowuje Twoje dane.

Najważniejsze wnioski

Odkrycie, że odszyfrowanie ransomware HYFLOCK bez klucza jest możliwe, jest zachęcające, ale jest wyjątkiem, a nie regułą. Utrzymuj kopie zapasowe offline, unikaj podejrzanych pobrań i nigdy nie płać okupu, zanim nie sprawdzisz legalnych narzędzi do odzyskiwania danych. Aby zobaczyć, jak ransomware może wpłynąć na ludzi znacznie dalej niż pierwotną ofiarę, przeczytaj o naruszeniu HandyTrac i zastanów się, jak wyglądałyby Twoje własne procedury tworzenia kopii zapasowych i bezpieczeństwa w podobnej sytuacji.